「タイムズカー」の会員情報が不正アクセスで大量に流出した事案を受け、国土交通省は、レンタカー・カーシェア事業者が保管する免許証情報や免許証画像などのデータについて、保管状況の点検を業界団体に要請しました。
免許証画像などの保管状況、国交省が踏み込んで点検を要請
不正アクセスによる情報漏洩が相次ぐなか、国土交通省がレンタカー事業者の情報管理のあり方について、事業者団体の日本レンタカー協会に点検を要請しました。「レンタカー事業における個人情報管理体制の総点検の実施（要請）」と題する通知で、2026年10月30日を期限に報告を求めています」
背景には、9月25日に発生した「タイムズカー」の大規模な情報漏洩があります。国交省は、この問題に重大な関心を寄せていて、個人情報保護委員会への最終報告がまだ行われていない段階でも、レンタカー業界全体の対策に動いた形です。
カーシェアを含むレンタカーの利用では、事業者に利用者の免許証を確認する義務があります。確認があいまいなまま無免許運転事故が起きれば、事業者が責任を問われるおそれもあります。従来のレンタカー事業では、対面で免許証を確認し、そのコピーを店舗で保管するのが一般的でした。紙のコピーは各店舗に分散して保管され、一定期間の後に廃棄されてきたため、一度に大量の情報が漏洩する事態は起きにくい面があったと考えられます。
これに対し、短時間利用が中心のカーシェアは、事前にオンラインで免許証を確認する非対面の貸渡しによって事業規模を拡大してきました。「タイムズカー」は、免許証番号などのデータに加え、免許証の画像や家族関係を示す書類の画像まで漏洩しています。
今回の被害は、免許証の確認が必要な会員約415万人に対し、件数ベースで最大660万件に及びました。245万件も差があるのは、退会者などのデータも漏洩したためです。親会社のパーク24は、退会者の情報も必要なデータと位置付け、退会後7年間は保持していました。事件を受け、タイムズカーの親会社のパーク24は10月16日に画像保有の社内ルールを見直し、会員登録を確認後「即時削除」する方針を発表しました。
個人情報保護は個人情報保護委員会が大枠を作りますが、情報の保管方法は各事業者に委ねられる範囲が広いため、単独では実効性を伴いません。レンタカー事業なら国交省、通信事業者なら総務省と、各分野の行政と連携するのですが、事業者の規制に直結する分野だけに、利用者保護に立った施策に積極的に乗り出してきたとは言えませんでした。
個人情報の保護は重要とされながら、大規模な漏洩が繰り返される背景には、情報保護の“タテ割り”行政の弊害も一因となっています。
「何が不要なデータか」――個情委事務局長が示した考え方
要請は、事業への信頼を揺るがしかねない「利用目的を終えた不要なデータ」の消去が後回しになっていないかなど、安全管理措置の点検を、業界全体に求める内容となっています。
この「不要なデータの消去」をめぐり、個人情報保護委員会の佐脇紀代志事務局長は10月14日、記者説明後の質疑応答で見解を述べました。
個人情報保護法は、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めなければならないと定めています。レンタカー業界においては、免許証コピーも免許証画像データも区別はありません。ただし、これは努力義務であり、どのデータがいつ“不要”になるのかは、事業者がそれぞれの業務の実態に即して判断することが前提になっています。
免許証の画像のように、本人確認や法令上の確認義務と結びつくデータは、その後も保管が必要なのか、どこまで保管するのかの線引きが難しいです。
佐脇事務局長は、この線引きについて、関係省庁とはまだ議論していないと断ったうえで次のように述べました。
「一つのアイデアとして私自身は思っておりますが、不要な情報を削除するということについては、業種業態によってはある程度一つの考え方を整理できるのではないか、という気はしております」
さらに、具体的な手法として典型的な業種業態に着目し、持っていてよいデータの種類や期間を、業種別の細かなガイドラインなどにまとめていく方法があるとの認識を示しました。この発言は、不要なデータの削除をめぐる議論の方向性を探るものとして注目されます。
仮に業種別の目安が示されれば、事業者にとっては、免許証の情報や画像をどこまで、どれだけの期間保管してよいのかを判断する手がかりになり得ます。保管するデータを減らすことは、不正アクセスがあった場合の被害を小さくすることにもつながります。
国交省の点検要請の結果と、個人情報保護委員会における今後の議論が、レンタカー・カーシェア業界の情報管理のあり方にどう影響するか、引き続き注視が必要です。